Databasement CVE-2026-121939にCritical評価―未確認メールのOIDC連携でアカウント奪取

2026年11月4日、データベースのバックアップを管理するDatabasementのCVE-2026-121939が公表されました。開発元の告知は11月3日UTCです。1.10.9未満が対象で、修正版は1.10.9。CVE登録機関VulnCheckはCVSS v4.0で9.2、Critical、開発元はCVSS v3.1で8.8、Highと評価しています。

OIDC認証と、既定で有効なauto_link_by_emailを使う構成が対象です。認証基盤が返すメールアドレスだけで既存ユーザーを探し、所有確認を示すemail_verifiedを検証せずに連携していました。攻撃者が認証基盤で被害者のメールを未確認のまま登録・変更できると、既存アカウントに自分の認証を結び付けられます。

管理者アカウントも対象となり、DBの接続情報やバックアップへのアクセスにつながります。成立には、認証基盤で攻撃者がメールアドレスを操作できる条件が必要です。管理者だけがアカウントを作成し、利用者がメールを変更できない認証基盤まで同じ条件とは扱えません。

1.10.9は所有確認を必須にし、連携時に既存パスワードを消す処理も修正しました。被害者がパスワードを変更しても、攻撃者のOIDC連携自体は残り得ます。当社では更新に加え、既存の外部ID連携を点検することを提案します。確認済みメールの保証がない認証基盤で、検証を省略する互換設定を安易に有効化しないことも重要です。